ExpressVPN vs Proton VPN

O relatório de transparência. P05/P06/P08/P09 assentam agora no relatório de transparência semestral da ExpressVPN (jul.–dez. de 2025: 155 pedidos governamentais/de autoridades policiais, 0 divulgações, 3 mandados listados separadamente), acedido através do Trust Center — a análise anterior não encontrou nenhum dos dois.

O canário, e o resto do bloco. Não foi possível encontrar um canário de mandados da ExpressVPN e nenhuma declaração primária nega a sua existência, pelo que P07 permanece desconhecido. P02/P03=none_known assentam na série de transparência e na posição da política de privacidade sobre litígios; P11=none_known assenta na declaração da política de que todas as exigências passam pelos tribunais das BVI. P04=withdrew_physical é a saída da Índia em junho de 2022.

O que nunca é publicado. O número de subscritores (M08) e o número total de servidores (U03) não são publicados. A propriedade do hardware dos servidores (C08: próprio versus arrendado) e os identificadores de dispositivos ao nível da aplicação (C12) não puderam ser comprovados em nenhuma página consultada.

106 países contra uma alegação de 113. U02_server_countries reflete as 105 páginas de destino por país no próprio mapa do site da ExpressVPN, mais a China (confirmada como «Available - Virtual Locations» na página ativa /vpn-server, mas sem uma página de destino dedicada) — 106 códigos no total, contra a própria alegação de marketing do site de «113 Countries»; a página ativa de localizações de servidores é uma tabela muito extensa por protocolo que não foi analisada exaustivamente, pelo que a lacuna entre 106 e 113 é reportada, não resolvida.

Uma conclusão de auditoria entre duas categorias. V11_audit_findings é registado como session_metadata, em vez de none_linkable ou aggregates_only: o relatório da KPMG de 2025 descreve um registo estruturado por ligação (país, ISP, data, protocolo, volume de dados, um pseudónimo estável com hash salteado) que é mais do que um agregado puro, mas não contém IP nem hora precisa — um caso genuinamente ambíguo para as quatro categorias intermédias deste campo.

Não verificado nesta passagem. Não foram verificadas nesta passagem a existência da cobertura da ExpressVPN fora de sites afiliados (X08), o seu escalão de pagamento a afiliados (X10) e se os meios de análise geridos pelo proprietário assinalam a ligação de propriedade (X11).

P2P, procurado e ausente. U12a_p2p_allowed continua desconhecido por uma razão diferente da dos restantes: foi procurado e não está publicado. Nem o mapa do site (578 páginas e URLs de suporte) nem os termos de serviço mencionam P2P, BitTorrent ou partilha de ficheiros em qualquer parte, enquanto todos os outros fornecedores catalogados indicam a sua posição nos seus próprios documentos. Um artigo de suporte ou uma cláusula nos termos resolveria a questão; um site de análise que dissesse que funciona não resolveria.

O recurso e o que não resolve. O recurso de 22 de outubro de 2021 é citado aqui com uma ressalva que vale a pena declarar claramente: o Federal Administrative Court decidiu que os serviços de email não são fornecedores de telecomunicações, e nem a cobertura da decisão nem o próprio relato da Proton mencionam a VPN.

O que efetivamente decide os dois campos. O que decide C10 e C11 é o facto de a Suíça não ter uma base de mandato na própria lista de países do catálogo; o recurso corrobora a forma como as autoridades suíças tratam a Proton e não constitui, por si só, uma conclusão sobre a Proton VPN. Uma decisão sobre um serviço irmão é uma base mais frágil do que a citação faz parecer.

O maior item em aberto. A Proton oferece localizações de saída em oito países que impõem um mandato de retenção. Não está comprovado que exista hardware efetivamente em algum deles: a Proton retirou os servidores físicos da Índia em 2022 e documenta o Smart Routing para localizações que serve a partir de outro lugar, o que aponta para localizações virtuais, mas isso só foi verificado para a Índia. Estabelecer C09b_mandate_hosting é o maior item em aberto neste registo.

Em 2017, as autoridades turcas apreenderam um servidor da ExpressVPN ao investigarem o assassinato do embaixador russo Andrei Karlov e não encontraram registos utilizáveis (TorrentFreak, que apresenta um aviso de patrocínio da ExpressVPN — assinalado, não excluído, uma vez que os factos podem ser verificados externamente e a própria página de declaração da ExpressVPN desde então devolveu HTTP 410 sem qualquer captura na Wayback Machine).

Em setembro de 2021, o Deferred Prosecution Agreement do DOJ com Daniel Gericke, Chief Information Officer da ExpressVPN, relativo ao seu anterior cargo, entre 2016 e 2018, na operação de pirataria informática «Project Raven» dos EAU tornou-se público; o documento principal do DPA nunca menciona a ExpressVPN (abrange apenas o seu emprego anterior nos EAU) — a ligação à ExpressVPN provém das declarações da própria ExpressVPN e da imprensa. A ExpressVPN manteve Gericke empregado e publicou uma defesa pública dessa decisão.

C12 é resettable_ad_id no texto do próprio fornecedor, e não numa categoria da loja. O parágrafo de marketing da política de privacidade declara que um Installation ID e um XV User ID são sempre recolhidos e que os identificadores de publicidade — IDFA ou Android Advertising ID — são enviados após consentimento explícito, sendo tudo isso enviado para AppsFlyer; o formulário de segurança dos dados do Play declara de forma independente Device ou outros IDs para publicidade ou marketing.

A barreira de consentimento e uma mitigação que nenhum outro fornecedor aqui oferece — o tráfego destinado à AppsFlyer encaminhado através de um conjunto dedicado de IPs da ExpressVPN, para que a atribuição não possa fazer correlações por IP — são reais e estão registados aqui, porque a barreira avalia o que pode ser retido, não quão bem é explicado.

U07_protocols inclui todo o seletor: Lightway UDP e TCP como vendor_open, além de WireGuard, OpenVPN UDP/TCP e IKEv2. Lightway é o protocolo próprio da ExpressVPN e o seu código-fonte é publicado com uma análise independente que o sustenta (Cure53, 2021 e 2024), que é a distinção para a qual existe vendor_open — proprietary atribui pontuação à impossibilidade de determinar se um transporte é fraco, e aqui é possível determiná-lo.

O PPTP foi retirado das aplicações da ExpressVPN pela própria página de protocolos do fornecedor, e L2TP e SSTP são aí explicados sem serem disponibilizados.